O Senado já aprovou o PL 2.338/2023 e a Câmara deve votar o Marco Legal da IA em 2027. A regra espelha a lei europeia e atinge qualquer negócio que use, desenvolva ou revenda inteligência artificial — com multas que chegam a R$ 50 milhões.
Não é só big tech que precisa se preocupar. Se sua empresa contrata um chatbot, usa IA para filtrar currículos ou roda modelos de linguagem via API, a responsabilidade cai no seu colo. Entenda o que muda na prática.
O risco dita o custo: onde seu negócio se encaixa?
A proposta classifica sistemas em três níveis. No topo, usos de risco excessivo são proibidos: identificação biométrica remota em tempo real, armas autônomas e scoring criminal baseado em perfil comportamental.
No meio, aplicações de alto risco exigem governança pesada. Entram aqui ferramentas para recrutamento, diagnóstico médico, concessão de crédito e gestão de infraestrutura crítica. A diferença está na autonomia: organizar currículos é baixo risco; ranquear candidatos e decidir quem avança é alto risco.
Para estes, a lei exige:
- Registro de governança e operação contínua;
- Testes de segurança e mitigação de vieses discriminatórios;
- Documentação que permita auditar e explicar decisões;
- Supervisão humana efetiva com poder de intervenção.
A cadeia de responsabilidade não perdoa “terceirizados”
O projeto define três papéis: desenvolvedor (cria o modelo), distribuidor (comercializa) e aplicador (usa na ponta). Uma mesma empresa pode ocupar todos.
O ponto crítico: quem aplica a IA responde pela conformidade do uso, mesmo que o modelo venha de fora. Se o fornecedor não entregar documentação técnica ou não cooperar na auditoria, o aplicador fica exposto à multa. Contratos de licenciamento e API precisam prever acesso a dados de treinamento, relatórios de risco e suporte a incidentes.
IA generativa e modelos de linguagem: capítulo à parte
Desenvolvedores de modelos de finalidade geral (LLMs, geradores de imagem, código) terão obrigações extras. Se houver risco sistêmico — potencial de impacto em larga escala —, a lei cobra:
- Publicação de resumo dos dados de treinamento protegidos por direitos autorais;
- Governança de dados e testes de segurança documentados;
- Instruções técnicas para que aplicadores cumpram suas obrigações.
Oferecer o modelo via API ou licença open source não isenta o desenvolvedor. Para quem constrói produtos sobre esses modelos, a negociação comercial passa a incluir “compliance as a service”: o fornecedor precisa provar que sustenta a conformidade do cliente.
Direitos autorais: a conta chegou para quem treina modelos
O texto obriga a divulgar sumário de obras protegidas usadas no treinamento. Titulares podem vetar uso comercial e negociar remuneração — inclusive gratuita, se acordado. Para empresas que fazem fine-tuning ou RAG, a origem e a licença dos dados de entrada viram ativo jurídico e item de orçamento.
Quem fiscaliza, quanto custa e quando começa
A governança ficará a cargo do SIA (Sistema Nacional de Regulação e Governança de IA), coordenado pela ANPD com reguladores setoriais (Banco Central, ANS, Anatel, etc.). A ideia é harmonizar regras sem invadir competências existentes.
As penalidades são duras:
- Multa de até 2% do faturamento bruto no Brasil, teto de R$ 50 milhões por infração;
- Suspensão de desenvolvimento, fornecimento ou operação.
Os prazos de adequação são assimétricos:
- 180 dias após a publicação da lei para proibições e obrigações de modelos de propósito geral/generativos;
- 730 dias (dois anos) para as demais exigências.
O que observar daqui para frente
A lei-quadro deixa lacunas que só a regulamentação preencherá: critérios exatos de “alto risco”, procedimentos simplificados para startups, metodologia de avaliação de impacto algorítmico. Acompanhe as consultas públicas da ANPD e dos reguladores setoriais.
Enquanto isso, a lição de casa imediata para qualquer empresa é mapear todos os pontos de contato com IA — próprios ou de terceiros —, classificar o risco de cada um e blindar contratos com cláusulas de transparência, auditoria e responsabilidade compartilhada. Quem esperar a publicação no Diário Oficial para começar já estará atrasado.
